Wyższa Szkoła Logistyki w Poznaniu ma zapłacić 64 652 zł kary po ujawnieniu danych osobowych 964 studentów. Pracownik dziekanatu omyłkowo dołączył plik do komunikatu o podziale na grupy. UODO stwierdził jednak szersze zaniedbania: uczelnia nie uwzględniła takiego błędu w analizie ryzyka, a po incydencie nadal nie uzupełniła listy zagrożeń.
Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski nałożył na uczelnię karę pieniężną i nakazał poprawę zabezpieczeń. Jak wynika z komunikatu opublikowanego 2 listopada, administrator ma ponownie przeanalizować ryzyko związane z przetwarzaniem danych, a następnie wdrożyć odpowiednie rozwiązania techniczne i organizacyjne.
Sprawa zaczęła się od zgłoszenia naruszenia przez samą uczelnię. Na internetowej platformie dziekanatu udostępniono osobom nieuprawnionym plik ze szczegółowymi danymi studentów przyjętych na studia w roku poprzedzającym incydent. Dokument trafił do załączników komunikatu dotyczącego przydziału do grup specjalnościowych i językowych.
Plik pobrano 361 razy
Według ustaleń uczelni dostęp do pliku umożliwiono 388 osobom. Otworzyło go 125 z nich, a liczba pobrań wyniosła 361. Ta ostatnia wartość oznacza liczbę pobrań dokumentu, a nie liczbę różnych osób, które go pobrały.
Bezpośrednią przyczyną ujawnienia danych była pomyłka pracownika dziekanatu. Postępowanie UODO wykazało jednak, że problem obejmował również sposób przygotowania uczelni do takich sytuacji. Organ uznał, że administrator nie przeprowadził prawidłowej analizy ryzyka, przez co nie dobrał zabezpieczeń odpowiadających rzeczywistym zagrożeniom.
W ocenie urzędu zaniedbania doprowadziły do naruszenia zasady integralności i poufności danych oraz zasady rozliczalności. Ta druga wymaga od administratora wykazania, że przestrzega obowiązków związanych z ochroną danych.
Analiza obejmowała wirusy i awarie, ale pomijała pomyłkę pracownika
Uczelnia analizowała zagrożenia związane m.in. z awarią sprzętu, uszkodzeniem systemu informatycznego i atakiem wirusa. Brała również pod uwagę nieuprawniony dostęp do danych, przeniesienie ich na zewnętrzny nośnik, utratę takiego nośnika oraz ujawnienie haseł.
W tym katalogu zabrakło jednak przypadkowego ujawnienia danych. Administrator nie uwzględnił więc sytuacji, w której pracownik korzystający z systemu w ramach swoich obowiązków dołączy niewłaściwy dokument do wiadomości.
UODO zwrócił uwagę również na postępowanie uczelni po wykryciu naruszenia. Administrator ponownie przeprowadził analizę ryzyka, ale pozostawił ten sam zestaw zagrożeń. Nie dopisał do niego omyłkowego ujawnienia danych, mimo że właśnie taki błąd doprowadził do incydentu.
Oznaczało to, że ponowna analiza nie uwzględniała doświadczeń z naruszenia, które uczelnia sama zgłosiła organowi nadzorczemu.
Kontrole bez dokumentacji
W toku postępowania uczelnia informowała, że wybiórczo kontrolowała sposób przekazywania informacji studentom przez system wewnętrzny. Według jej wyjaśnień kontrole nie wykazywały nieprawidłowości.
Administrator nie przedstawił jednak dowodów potwierdzających te działania. Nie udokumentował przeprowadzenia kontroli ani nie wyjaśnił, w jaki sposób sprawdzano, czy wcześniejsze komunikaty nie zawierały nadmiarowych danych osobowych.
Dla UODO samo oświadczenie o prowadzeniu kontroli było niewystarczające. Brak dokumentacji uniemożliwiał potwierdzenie zarówno tego, co sprawdzano, jak i podstaw, na których uczelnia uznała wcześniejsze publikacje za prawidłowe.
Kara i obowiązek zmiany zabezpieczeń
Organ nadzorczy uznał, że wadliwa analiza ryzyka prowadziła do dowolnego doboru środków ochrony danych. Uczelnia stosowała rozwiązania organizacyjne i techniczne, ale nie wykazała, że odpowiadały one zagrożeniom występującym przy korzystaniu z platformy dziekanatu.
UODO stwierdził naruszenie art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO. Przepisy te dotyczą odpowiedzialności administratora, uwzględniania ochrony danych przy organizowaniu ich przetwarzania oraz zapewnienia bezpieczeństwa odpowiedniego do ryzyka.
Oprócz zapłaty 64 652 zł uczelnia ma dostosować przetwarzanie danych do wymogów rozporządzenia. Nakaz wymaga najpierw przeprowadzenia analizy uwzględniającej m.in. charakter i zakres przetwarzanych informacji, cele ich wykorzystania, dostępne rozwiązania techniczne, koszty wdrożenia oraz zagrożenia dla praw i wolności osób. Dopiero na tej podstawie administrator ma dobrać i wdrożyć zabezpieczenia.
Sprawa ma sygnaturę DKN.5131.15.2022.
